
        <html>
			<head>
			     <title>WireShark黑客发现之旅（6）—“Lpk.dll劫持+ 飞客蠕虫”病毒 - 聚锋实验室</title>
				 <meta http-equiv="content-type" content="text/html; charset=UTF-8">
			</head>
			<body>
				<h1>原文地址:<a href="http://drops.wooyun.org/tips/9106">http://drops.wooyun.org/tips/9106</a></h1>
				
      <p>
        <p><strong>作者</strong>：Mr.Right、Evancss</p>

<p><strong>申明</strong>：文中提到的攻击方式仅为曝光、打击恶意网络攻击行为，切勿模仿，否则后果自负。</p>

<h1>0x01 发现问题</h1>

<hr />

<p>在对客户网络内网进行流量监控时发现，一台主机172.25.112.96不断对172.25.112.1/24网段进行TCP445端口扫描，这个行为目的在于探测内网中哪些机器开启了SMB服务，这种行为多为木马的通信特征。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306390778585pic14.jpg" alt="" /></p>

<!--more-->

<p>过滤这个主机IP的全部数据，发现存在大量ARP协议，且主机172.25.112.96也不断对内网网段进行ARP扫描。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306391061575pic23.jpg" alt="" /></p>

<p>发现问题后，我们就开启对这台主机的深入分析了。</p>

<h1>0x02 Lpk.dll劫持病毒</h1>

<hr />

<p>第一步，DNS协议分析。过滤这台主机的DNS协议数据，从域名、IP、通信时间间隔综合判断，初步找出可疑域名。如域名yuyun168.3322.org，对应IP为61.160.213.189。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306391470719pic32.jpg" alt="" /></p>

<p>过滤IP为61.160.213.189的全部数据可以看到主机172.25.112.96不断向IP地址61.160.213.189发起TCP7000端口的请求，并无实际通信数据，时间间隔基本为24秒。初步判断为木马回联通信。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306391614978pic42.jpg" alt="" /></p>

<p>再发现可疑域名gcnna456.com，对应IP为115.29.244.159。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306391854256pic53.jpg" alt="" /></p>

<p>过滤IP为115.29.244.159的全部数据可以看到主机172.25.112.96不断向IP地址115.29.244.159发起TCP3699端口的请求，并无实际通信数据，时间间隔也基本为24秒。初步判断也为木马通信数据。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306392048365pic61.jpg" alt="" /></p>

<p>把这两个域名请求的DNS信息都提取出来（当然，这里仅用WireShark实现就比较困难了，可以开发一些工具或利用设备），部分入库后可看见：</p>

<table border="1">
  <tr>
    <td>
      时间
    </td>
    
    <td>
      客户端
    </td>
    
    <td>
      服务器
    </td>
    
    <td>
      域名
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:40
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:40
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yuyun168.3322.org
    </td>
  </tr>
  
  <tr>
    <td>
      时间
    </td>
    
    <td>
      客户端
    </td>
    
    <td>
      服务器
    </td>
    
    <td>
      域名
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:41
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:42
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:43
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:44
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:45
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:45
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:45
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:45
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:46
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:46
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 19:46
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      gcnna456.com
    </td>
  </tr>
</table>

<p>从统计可以看出，这两个域名的请求一直在持续，且时间间隔固定。</p>

<p>为探明事实真相，我们对这台电脑进程进行监控，发现了两个可疑进程，名称都是hrl7D7.tmp，从通信IP和端口发现与前面分析完全吻合。也就是说，域名yuyun168.3322.org和gcnna456.com的DNS请求数据和回联数据都是进程hrl7D7.tmp产生的。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306392441483pic81.jpg" alt="" /></p>

<p>进一步查询资料和分析确认，这个恶意进程为Lpk.dll劫持病毒。</p>

<h1>0x03 飞客（Conficker）蠕虫</h1>

<hr />

<p>当然，完全依靠域名（DNS）的安全分析是不够的，一是异常通信很难从域名解析判断完整，二是部分恶意连接不通过域名请求直接与IP进行通信。在对这台机器的Http通信数据进行分析时，又发现了异常：HTTP协议的头部请求中存在不少的“GET /search?q=1”的头部信息。</p>

<p>如IP为95.211.230.75的请求如下：</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306392441483pic81.jpg" alt="" /></p>

<p>Follow TCPStream提取请求信息如下，请求完整Url地址为：95.211.230.75/search?q=1，返回HTTP404，无法找到页面。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306392630444pic91.jpg" alt="" /></p>

<p>通过请求特征“/search?q=1”继续分析，如IP地址221.8.69.25，请求时间不固定，大约在20秒至1分钟。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306392897314pic10.jpg" alt="" /></p>

<p>再如IP地址38.102.150.27，请求时间也不是很固定。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306393074988pic111.jpg" alt="" /></p>

<p>再如IP地址216.66.15.109，请求时间也不是很固定。</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306393329005pic122.jpg" alt="" /></p>

<p>把含此特征的请求IP、域名以及HTTP返回状态码进行统计，如下表：</p>

<table border="1">
  <tr>
    <td>
      时间
    </td>
    
    <td>
      客户端
    </td>
    
    <td>
      服务器
    </td>
    
    <td>
      请求URL
    </td>
    
    <td>
      状态
    </td>
  </tr>
  
  <tr>
    <td>
      19:03
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      221.8.69.25
    </td>
    
    <td>
      http://221.8.69.25/search?q=1
    </td>
    
    <td>
      200
    </td>
  </tr>
  
  <tr>
    <td>
      19:03
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      38.102.150.27
    </td>
    
    <td>
      http://38.102.150.27/search?q=1
    </td>
    
    <td>
      404
    </td>
  </tr>
  
  <tr>
    <td>
      19:04
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      216.66.15.109
    </td>
    
    <td>
      http://216.66.15.109/search?q=1
    </td>
    
    <td>
      404
    </td>
  </tr>
  
  <tr>
    <td>
      19:14
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      95.211.230.75
    </td>
    
    <td>
      http://95.211.230.75/search?q=1
    </td>
    
    <td>
      404
    </td>
  </tr>
  
  <tr>
    <td>
      19:29
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      46.101.184.102
    </td>
    
    <td>
      http://46.101.184.102/search?q=1
    </td>
    
    <td>
      200
    </td>
  </tr>
  
  <tr>
    <td>
      3:17
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      54.148.180.204
    </td>
    
    <td>
      http://54.148.180.204/search?q=1
    </td>
    
    <td>
      404
    </td>
  </tr>
</table>

<p>可以发现，一共请求了6个IP地址，请求URL地址都为http://IP地址/searh?q=1，有4个IP请求网页不存在，有两个请求网页成功。</p>

<p>过滤DNS协议，通过搜索找到6个IP对应的域名：</p>

<pre><code>221.8.69.25：nntnlbaiqq.cn；
38.102.150.27：boqeynxs.ws；
216.66.15.109：odmwdf.biz；
95.211.230.75：ehipldpmdgw.info；
46.101.184.102：eqkopeepjla.info；
54.148.180.204：rduhvg.net；
</code></pre>

<p>可以看出6个域名名称都很像随机生成的。对DNS进一步分析时还发现大量无法找到地址的域名请求，如图：</p>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306393596489pic131.jpg" alt="" /></p>

<p>将此错误请求进行统计，仅在监控期间就请求过148个错误的域名。通过这些域名名称可以初步判断，该病毒请求采用了DGA算法随机生成的C&amp;C域名（详细了解可移步：&#91;http://drops.wooyun.org/tips/6220&#93;&#91;用机器学习识别随机生成的C&amp;C域名&#93;）。大量随机生成的域名不存在或控制端服务器已注销关机，导致大量请求失败。</p>

<table border="1">
  <tr>
    <td>
      时间
    </td>
    
    <td>
      客户端
    </td>
    
    <td>
      服务器
    </td>
    
    <td>
      查询
    </td>
    
    <td>
      状态
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      nlasowhlhj.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      diadcgtj.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      idwcjhvd.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      cacbwanw.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      pqepudpjcnc.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      lqxlx.cc
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      qmnqag.info
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:31
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      tivet.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:32
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      zvzpzgtiz.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:32
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      whfgzs.cc
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:32
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      uqowfosm.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:32
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      pxidlhtlhqz.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:32
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      hzxloguigf.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:33
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      yaovrr.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:33
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      iazabdcwf.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:33
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      qbzzehgnadn.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:33
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      xvmtjcehe.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:33
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      pvugavxsx.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:33
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      lgxvyyzs.info
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:34
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      rspgnhx.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:34
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      pbwgoe.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:34
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      wtexobkv.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:34
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      jjvyyyexxk.cc
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:35
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      uvxklheapu.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:35
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      wdbsw.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:35
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      wsflkzxud.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:35
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      zmbfcf.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:35
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      uzerepiq.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:35
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      vszcgubl.info
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:36
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      aqerqeiigme.info
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:36
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      zrpavmfitq.cc
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:36
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      ugoxslfxazt.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:36
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      tzorilkpyg.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:36
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      oqhwvgpvsjw.info
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:37
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      icsqhpnr.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:37
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      bpvuftucv.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:37
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      kmdgcblyibz.cc
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:38
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      xilpn.cc
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:38
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      iumygnris.org
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:38
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      tmypuykvfzj.com
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:38
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      jhiozaveoi.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:39
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      gvjrenffp.net
    </td>
    
    <td>
      失败
    </td>
  </tr>
  
  <tr>
    <td>
      2015/8/3 22:39
    </td>
    
    <td>
      172.25.112.96
    </td>
    
    <td>
      8.8.8.8
    </td>
    
    <td>
      geiradmz.info
    </td>
    
    <td>
      失败
    </td>
  </tr>
</table>

<p>过滤IP为221.8.69.25的HTTP成功请求数据，提取文本内容可以看到请求成功的网页显示内容：</p>

<pre><code>&lt;html&gt;&lt;body&gt;&lt;h1&gt;Conficker Sinkhole By CNCERT/CC!&lt;/h1&gt;
&lt;/body&gt;&lt;/html&gt;
</code></pre>

<p><img src="http://static.wooyun.org//drops/20150923/2015092306393783295pic141.jpg" alt="" /></p>

<p>通过HTTP响应可以推断，该机器可能感染了飞客（Conficker）蠕虫病毒，进一步我们推断国家互联网应急中心（CNCERT/CC）已得知此域名被飞客病毒所用，并将该域名放入飞客病毒域名污水池（Sinkhole）以缓解该病毒带来的风险。</p>

<p>至此基本确定该主机已感染飞客病毒，后续我们使用飞客病毒专杀工具进行杀毒，并对操作系统进行补丁修复后，该主机网络通讯恢复正常。</p>

<h1>0x04 总结</h1>

<hr />

<ol>
<li>关于Lpk.dll、Confiker病毒的逆向分析，网上有很多资料，本文就不继续分析；</li>
<li>无论是木马还是恶意病毒，一旦感染就会与外界通信，就可以通过流量监测发现；</li>
<li>木马病毒的内网渗透行为可基于局域网监测分析技术进行监控；木马病毒的回联通信行为分析可结合域名请求、心跳数据特征检测进行分析。</li>
</ol>      </p>
    
			</body>
		</html>
                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                          